背景：為什麼 ADSL 用戶是重點目標？

長在線時間、固定/半固定公網 IP、高帶寬、普遍缺乏專業安全運營能力，使家庭/小微企業 ADSL 成為掃描器、蠕蟲、暴力破解、釣魚、水坑攻擊的首選靶標。IP 地址庫讓駭客輕鬆鎖定目標。

十大防禦實戰招式

1. 徹底清理隱藏默認共享 (C$, D$, ADMIN$, IPC$)

Win2000/XP/2003 默認開啟所有分區隱藏共享 (盤符後綴 $)。駭客僅需 net use \\IP\IPC$ "" /u:"" 建立空連接，配合 Administrator 弱口令即可遍歷全盤。

永久禁用註冊表法：
reg add HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters /v AutoShareServer /t REG_DWORD /d 0 /f (Server 版)
reg add HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters /v AutoShareWks /t REG_DWORD /d 0 /f (Workstation 版)
重啟生效。或啟動腳本 net share C$ /delete & D$ /delete & ADMIN$ /delete & IPC$ /delete (需 GPO/任務計劃持久化)。

2. 封殺惡意網頁代碼 — IE 安全區域硬化

工具 → Internet 選項 → 安全 → 自定義級別 → 「安全級 - 高」：
禁用：ActiveX 控件與插件 (下載未簽名/已簽名/腳本安全標記)、腳本化 ActiveX 標記為安全、運行 ActiveX 控件和插件。
提示：下載已簽名/未簽名 ActiveX、腳本運行、文件下載、字體下載。
效果： 徹底阻斷網頁惡意代碼 (VBScript/JavaScript/ActiveX) 自動執行利用漏洞 (如 CVE-2005-1790, CVE-2006-0003 等經典 IE 0-day)。

3. 封死系統「後門」 — 協議、服務、賬號三維收斂

• 協議精簡： 僅保留 TCP/IP，卸載 NetBEUI, IPX/SPX, AppleTalk 等。
• 禁用 NetBIOS over TCP/IP： 同文章 146235 第 4 條，斷絕 139 端口攻擊面。
• 關閉「文件和打印共享」並鎖定註冊表防篡改：
  reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Network /v NoFileSharingControl /t REG_DWORD /d 1 /f (隱藏「文件和打印共享」按鈕)。
• 禁用 Guest + 重命名 Administrator + 創建陷阱 Administrator (詳見文章 146235 第 3、8、9 條)。
• 禁用空連接 (Null Session)： 同文章 146235 第 1 條，RestrictAnonymous=1。

4. 隱藏真實 IP — 代理/VPN/Tor 實戰

• 原理： 客戶端 → 代理服務器 → 目標服務器。目標僅見代理 IP，隱藏真實出口 IP。
• 工具： 免費代理網站 (可用性低/不安全)、代理獵手掃描驗證、商業 VPN (推薦無日志、支持 WireGuard/OpenVPN)、Tor 瀏覽器 (高匿但慢、部分服務封禁 Tor 出口節點)。
• 注意： 代理/VPN 提供商可見真實流量，**敏感操作勿依賴單一代理**，高威脅模型下需多跳/專線/專用設備。

5. 關閉不必要端口 — 攻擊面最小化

使用 netstat -anob / TCPView / Nmap -sS -T4 localhost 掃描本機開放端口。
必關端口參考： 135 (RPC), 139/445 (SMB/NetBIOS), 1433/1434 (SQL), 3306 (MySQL), 3389 (RDP), 5432 (PostgreSQL), 5900 (VNC), 6379 (Redis), 27017 (MongoDB) — **除非業務必需且配置來源 IP 白名單/強認證/加密通道，否則一律關閉或防火牆限制來源**。

6. 重構管理員賬號體系 — 權限分級與偽裝

• 為真正 Administrator 設置 **20+ 字符高強度密碼** (密碼管理器生成/存儲)。
• 重命名 Administrator → 偽裝名 (如 svc_backup_01)。
• 創建無權限陷阱賬號 Administrator (詳見文章 146235)。
• 日常操作使用 **標準用戶 (Standard User)**，需提權時 Runas / UAC 彈窗輸入管理員憑證。

7. 徹底清理 Guest 及其殘留權限

• 禁用 Guest (控制面板/本地用戶組/lusrmgr.msc)。
• 若業務必須啟用：設置強密碼、NTFS 權限精確到文件夾 (僅「列出內容/讀取」特定目錄)、GPO 限制「拒絕本地登錄/拒絕網絡訪問/拒絕批處理/服務登錄」、審核 Guest 所有登錄/訪問事件。

8. 部署必要安全軟件 — 纵深防禦最小集

• 防病毒/EDR： 必裝、自動更新、實時防護、雲引擎、行為 HIPS、定期全盤掃描 (推薦: Defender for Endpoint, CrowdStrike, SentinelOne, 火綹/360/聯想管家企業版等國產合規產品)。
• 防火牆： Windows Defender 防火牆 (域/專用/公用 三配置文件精細化) + 可選硬件防火牆/路由器 ACL。
• 漏洞掃描/修補： 微軟 Baseline Security Analyzer (MBSA) / 國產漏洞掃描器 (安犬/漏洞盒子/綠盟) 定期掃描，**關鍵補丁 72h 內修補**。

9. 木馬預防 — 從源頭切斷投放鏈

• 下載文件 → 獨立文件夾 → **上傳 VirusTotal / 微步在線 / 騰訊哈勃 / 奇安信威脅情報 平臺雲查殺** → 通過後再執行。
• 定期檢查啟動項 (msconfig, Autoruns, 任務管理器「啟動」標籤) 清理未知項。
• 監控註冊表 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 及 `RunOnce`, `RunServices`, `Policies\Explorer\Run`, `Winlogon\Userinit/Shell`, `Image File Execution Options` 等關鍵自啟動點。

10. 識別並拒絕釣魚郵件/社工攻擊

• 銀行/官方**絕不**郵件/短信/電話要求提供密碼/驗證碼/轉賬/安裝遠程軟件。
• 檢查發件人真實郵箱地址 (非顯示名)、鏈接真實目標 (懸停不點擊)、附件是否可執行文件/腳本/辦公文檔含宏。
• 啟用 DMARC/SPF/DKIM 驗證 (企業郵箱)、郵件網關沙箱檢測、員工定期反釣魚演練 (KnowBe4/國產平台)。

進階：開啟 IE「我的電腦」安全區域 (隱藏功能)

註冊表：HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\Flags = 1 (REG_DWORD) (默認 0x21)。重啟 IE 後「安全」標籤出現「我的電腦」圖標，可單獨設置本地 HTML/HTA/CHM 文件的 ActiveX/腳本權限 (建議設「高」)，防止本地惡意文件利用 IE 引擎提權。

安全不是買一個產品、裝一個軟件、改幾個設置就能一勞永逸的。**「知曉資產、減少暴露、持續監測、快速響應、定期演練」** 才是 ADSL/家寬/企業專線用戶生存法則。